Deutsche Bank kiện cựu nhân viên: Bài học pháp lý cho thế giới blockchain
Bốn người. Một ngân hàng. Bốn phẩy bốn tỷ euro. Đó là con số Deutsche Bank đang tìm cách đòi lại từ các cựu nhân viên trong vụ bê bối Monte dei Paschi di Siena. Nhưng câu chuyện này không chỉ nói về ngân hàng Đức. Nó phơi bày một căn bệnh mà cộng đồng blockchain vẫn cố tình lờ đi: trách nhiệm cá nhân cực kỳ mơ hồ khi hệ thống sụp đổ.
Monte Paschi, ngân hàng hoạt động liên tục lâu đời nhất thế giới, được thành lập từ năm 1472. Sau khủng hoảng 2008, ban lãnh đạo ngân hàng này tìm mọi cách che giấu các khoản lỗ khổng lồ bằng các hợp đồng phái sinh phức tạp, trong đó có hai giao dịch mang tên Alexandria và Santorini. Deutsche Bank, với vai trò là một trong những đối tác cấu trúc, đã giúp xây dựng các giao dịch này. Năm 2018, tòa án Milano kết luận Deutsche Bank phải bồi thường hàng trăm triệu euro. Ngay sau đó, ngân hàng Đức phát động một cuộc chiến pháp lý mới: kiện bốn cựu nhân viên tại Tòa án Thương mại London.
Bốn cựu nhân viên gồm Michele Faissola – cựu giám đốc toàn cầu về giao dịch lãi suất, Ivor Dunbar – cựu giám đốc bộ phận OMB, Michele Foresti – cựu trưởng bộ phận giao dịch lãi suất có cấu trúc, và một người nữa. Họ bị cáo buộc vi phạm nghĩa vụ trung thành, tham gia âm mưu gây thiệt hại, và có hành vi không trung thực. Tôi không phải luật sư. Tôi là người kiểm tra mã. Nhưng tôi nhìn thấy trong vụ này một cấu trúc giống hệt các lỗ hổng tôi đã phát hiện trong nhiều hợp đồng thông minh: một lỗi logic nằm sâu bên dưới nhiều lớp che giấu, và không ai đứng ra nhận trách nhiệm.
Điểm mấu chốt nằm ở học thuyết Ivey v Genting Casinos (2017) của Tối cao Anh. Trước đây, để chứng minh một người không trung thực, bạn cần chứng minh họ biết hành vi của mình là sai. Sau Ivey, chỉ cần chứng minh rằng, dựa trên nhận thức thực tế của người đó, hành vi của họ đi chệch khỏi chuẩn mực của một người trung thực. Nói cách khác, ý đồ xấu không còn là yếu tố tiên quyết. Điều này giống hệt việc tôi tìm một lỗ hổng reentrancy trong mã: tôi không cần biết lập trình viên có chủ đích tạo ra lỗ hổng hay không. Mã nguồn tự nói lên tất cả.
Lỗ hổng? Tôi đã thấy nó từ hôm qua.
Vào năm 2017, tôi tự kiểm tra hợp đồng thông minh của dự án ICO EtherVault trong lúc làm luận án tiến sĩ về mật mã tại Vienna. Tôi dùng Remix và geth, tìm thấy bốn lỗ hổng trong logic phân phối token. Một lỗi cho phép mint token vô hạn. Tôi báo cáo lên GitHub. Dự án phớt lờ. Hai tháng sau, hacker rút 350 ETH. Không một ai trong đội ngũ dự án nhận trách nhiệm. Họ chỉ nói đó là “sự cố bất khả kháng”. Đã biết trước rồi.
Bây giờ, Deutsche Bank cũng đang chơi một trò chơi tương tự: đổ toàn bộ trách nhiệm lên bốn cá nhân, trong khi chính ngân hàng đã ký các thỏa thuận dàn xếp với cơ quan quản lý Ý với số tiền khoảng 70 triệu euro. Nếu ban lãnh đạo Deutsche Bank không hề biết gì về các giao dịch Alexandria và Santorini, thì sao? Nếu họ biết và phê duyệt, thì vụ kiện này chỉ là một màn kịch nhằm xoa dịu các nhà quản lý rằng ngân hàng đang “nghiêm túc xử lý trách nhiệm cá nhân”.
Chính vì vậy, chiến lược của Deutsche Bank rất tinh vi. Họ chọn London, không phải Frankfurt hay Milano. Vì sao? Vì hệ thống luật Anh với học thuyết Ivey giúp việc thắng kiện dễ hơn. Vì các quy tắc disclosure của Anh buộc các bên phải công khai tài liệu nội bộ – một vũ khí lợi hại hơn bất kỳ blockchain nào. Nhưng cũng chính vì vậy, khi các tài liệu nội bộ này được đưa ra ánh sáng, chúng có thể phơi bày sự thật rằng không chỉ bốn cựu nhân viên này gây ra bê bối.
Khối lượng công việc khổng lồ này tạo ra một cái bẫy tương tự trong thế giới tiền mã hóa. Hãy nhìn vào vụ sụp đổ Terra/Luna năm 2022. Tôi đã viết một báo cáo nội bộ dài 20 trang cho một quỹ đầu tư, chỉ ra 5 chỉ báo on-chain: lượng UST mint tăng 30% mỗi ngày, chênh lệch giá nhỏ liên tục, và một số bất thường khác. Tôi dự đoán nó sẽ sụp đổ. Quỹ đó không tin. Khi nó sụp đổ, không ai bị đưa ra tòa ở mức cá nhân. Do Kwon là một nhân vật, nhưng cấu trúc pháp lý quanh các công ty ở Singapore và Hàn Quốc khiến việc truy cứu trách nhiệm cá nhân trở nên vô cùng khó khăn.
Deutsche Bank đang muốn tạo ra một tiền lệ ngược lại: rằng một cựu nhân viên, dù đã rời tổ chức, vẫn có thể bị kiện đòi bồi thường hàng tỷ euro. Điều này gửi một tín hiệu đến toàn bộ giới tài chính: cá nhân không thể trốn tránh sau “lỗ hổng hệ thống”. Nhưng nó cũng là một lời cảnh báo cho các nhà phát triển blockchain. Nếu bạn viết mã, bạn chịu trách nhiệm về hậu quả của mã đó, kể cả khi bạn không còn làm việc cho dự án nữa.
Tôi đã trải qua điều đó vào năm 2021, khi một nhóm phát triển mời tôi audit hợp đồng NFT “FakeApeClub” – một bản sao của BAYC – với phí 2 BTC. Ba ngày kiểm tra, tôi tìm thấy hai backdoor trong mã nguồn cho phép mint token từ thanh khoản cộng đồng. Tôi từ chối ký báo cáo. Họ không sửa. Hai tháng sau, dự án bị hack mất 120 ETH. Audit bị từ chối? Đã biết trước rồi.
Vấn đề trong vụ Deutsche Bank, cũng như trong hầu hết các vụ sụp đổ tiền mã hóa, không phải là thiếu minh bạch. Blockchain minh bạch hơn bất kỳ sổ cái ngân hàng nào. Mọi giao dịch đều có thể truy vết. Nhưng sự minh bạch này không cho chúng ta biết tại sao một người quyết định làm điều đó. Không có một oracle nào có thể xác minh “ý định” của một giao dịch. Một hợp đồng thông minh có thể chứng minh ai đã ký, nhưng không thể chứng minh người đó bị ép buộc, bị lừa dối, hay tự nguyện tham gia.
Đây là ranh giới mà những người ủng hộ blockchain thường bỏ qua. Họ nói rằng “code is law”. Nhưng luật pháp không chỉ là hồ sơ. Luật pháp là trách nhiệm, là quyền lực, là cơ quan thực thi. Một hợp đồng thông minh có thể tự động thực hiện một điều khoản, nhưng nó không thể tự động trừng phạt người vi phạm. Nó không thể phạt tù một kẻ lừa đảo, và nó không thể buộc một công ty bồi thường cho nạn nhân.
Vì vậy, phe lạc quan rằng blockchain sẽ thay thế hoàn toàn hệ thống pháp lý là ảo tưởng. Nhưng phe bò (bull) có một điểm đúng: blockchain tạo ra các bản ghi sạch. Trong vụ Deutsche Bank, các công tố viên đã phải mất nhiều năm để dựng lại dòng tiền giữa Monte Paschi, Deutsche Bank và Nomura. Nếu các giao dịch này nằm trên một sổ cái công khai, quá trình này sẽ nhanh hơn hàng trăm lần. Chi phí điều tra sẽ giảm xuống, và các bằng chứng sẽ ít bị tranh cãi hơn.
Nhưng cẩn thận. Sự minh bạch trên chuỗi không ngăn được những người thông đồng với nhau trước khi ghi dữ liệu. Họ có thể sử dụng một hợp đồng thông minh để ghi lại một giao dịch “hợp pháp”, trong khi thực chất đang che giấu một thỏa thuận ngầm bên ngoài. Blockchain chỉ là một công cụ. Nó không thay đổi bản chất con người.
Hãy nhìn vào Deutsche Bank. Họ đã chi hàng tỷ euro cho các vụ dàn xếp pháp lý trong thập kỷ qua – từ LIBOR, 1MDB, đến các vụ kiện liên quan đến rửa tiền và trốn thuế. Mỗi lần, họ đều đổ lỗi cho một vài cá nhân “bất lương” để cứu lấy danh tiếng của cả một tập đoàn. Văn hóa này không khác gì văn hóa “dev airdrop rồi biến mất” trong thế giới tiền mã hóa. Các dự án sụp đổ, nhưng founders vẫn sống khỏe với số tiền đã rút trước đó.
SM&CR (Senior Managers and Certification Regime) của Vương quốc Anh đã tìm cách chấm dứt tình trạng này bằng cách quy trách nhiệm cá nhân cho các nhà quản lý cấp cao trong lĩnh vực tài chính. Kể từ khi có hiệu lực năm 2016, FCA đã nhấn mạnh vào sự chịu trách nhiệm của cá nhân đối với các hành vi sai trái. Nhưng SM&CR không áp dụng cho các dự án phi tập trung. Một DAO không có giám đốc điều hành, không có một cá nhân nào có tên tuổi rõ ràng để mà truy cứu. Điều này khiến cho việc xây dựng “văn hóa trách nhiệm” trong không gian tiền mã hóa trở nên cực kỳ khó khăn.
Tôi đã từng tư vấn cho một quỹ đầu tư châu Âu vào năm 2024, đánh giá các rủi ro của việc phê duyệt một quỹ ETF Bitcoin giao ngay. Tôi kiểm tra hệ thống lưu ký. Tôi tìm thấy hai lỗ hổng trong quy trình quản lý khóa riêng. Tôi yêu cầu họ sửa trước khi vận hành. Họ sửa. Không có vụ sụp đổ nào xảy ra. Nhưng tôi nhận ra rằng, nếu các quy trình này không được kiểm tra bởi một bên thứ ba độc lập, thì ngay cả một tổ chức được quản lý tốt cũng có thể sụp đổ vì một quyết định thiếu sót của một cá nhân nào đó.
Vụ Deutsche Bank không đơn giản chỉ là một vụ kiện. Nó là một phép thử đối với khái niệm “trách nhiệm có thời hạn”. Trong quá khứ, nếu một nhân viên ngân hàng thực hiện một giao dịch gây tổn thất, ngân hàng thường không kiện họ vì sợ xấu mặt. Nhưng thời kỳ đó đã qua. Giờ đây, các ngân hàng sẵn sàng kiện nhân viên cũ để gửi một thông điệp đến các nhà quản lý và cơ quan quản lý rằng họ đang “siết chặt” trách nhiệm cá nhân. Điều này tạo ra một hiệu ứng lan tỏa đến thị trường lao động: các ngân hàng sẽ thắt chặt các điều khoản hợp đồng, tăng cường các điều khoản khôi phục lợi nhuận (clawback), và mở rộng phạm vi bảo hiểm trách nhiệm cho nhân viên. Nhưng nó cũng làm cho việc tuyển dụng nhân tài trở nên khó khăn hơn, vì các nhà giao dịch giỏi nhất sẽ yêu cầu mức đền bù rủi ro cao hơn.
Trong thế giới tiền mã hóa, chúng ta chưa có một học thuyết Ivey nào. Mỗi quốc gia có một cách tiếp cận khác nhau: Singapore thì coi token là tài sản, Mỹ thì coi một số token là chứng khoán, còn EU đang hoàn thiện khuôn khổ MiCA. Sự thiếu nhất quán này tạo ra những khoảng trống mà các kẻ xấu tận dụng. Hãy nhìn vào các vụ lừa đảo cross-chain: các dự án huy động hàng trăm triệu đô la, nhưng khi sụp đổ, người dùng không biết nên kiện ai – công ty có trụ sở tại British Virgin Islands, nhà phát triển ẩn danh, hay những nhà đầu tư lớn đã rút vốn trước?
Tôi từng viết một script Python để phân tích lịch sử giao dịch của 20 pool thanh khoản với tham vọng tìm ra các dấu hiệu rug pull điển hình. Tôi phát hiện ra: các dấu hiệu gian lận luôn giống nhau. Dòng thanh khoản bị rút một cách bất thường. Một địa chỉ ví nhận được một lượng token lớn và ngay lập tức chuyển đến sàn giao dịch. Đôi khi, một trong những nhà phát triển có quyền quản trị được bổ sung một cách lặng lẽ. Nhưng khi tôi cảnh báo trên Twitter, phản hồi thường là “FUD”. Và khi vụ sụp đổ xảy ra, cùng những người đó lại hỏi “Tại sao các cơ quan quản lý không làm gì?”.
Đây là lý do tại sao vụ kiện Deutsche Bank lại quan trọng đối với cộng đồng blockchain. Nó chứng minh rằng các tòa án, khi được cung cấp đủ bằng chứng, có thể buộc các cá nhân phải trả giá. Nhưng nó cũng cho thấy sự chậm trễ và tốn kém của hệ thống tư pháp truyền thống. Một vụ kiện có thể kéo dài hàng thập kỷ, trong khi một giao thức DeFi có thể sụp đổ trong vài phút. Điều đó có nghĩa là chúng ta không thể dựa vào luật pháp để bảo vệ các nhà đầu tư. Chúng ta cần tự bảo vệ mình bằng công cụ tốt hơn: kiểm tra mã, phân tích on-chain, và trên hết là không bao giờ tin vào lời nói suông.
Audit bị từ chối? Đã biết trước rồi.
Lỗ hổng? Tôi đã thấy nó từ hôm qua.
Nếu Deutsche Bank thắng kiện, nó sẽ tạo ra một tiền lệ giúp các tổ chức lớn trấn áp những người tố giác và nhân viên bất đồng chính kiến. Nếu họ thua, nó sẽ cho thấy rằng một tập đoàn không thể đổ hết tội lỗi cho các cá nhân khi chính bộ máy của họ đã cho phép gian lận xảy ra. Cả hai kết quả đều có những bài học sâu sắc cho thế giới phi tập trung.
Cuối cùng, điều tôi muốn nhấn mạnh không phải là ai thắng ai thua trong phòng xử án London. Điều tôi muốn nhấn mạnh là: mọi hệ thống tài chính, dù truyền thống hay dựa trên blockchain, đều được vận hành bởi con người. Và con người có thể sai, cố tình hoặc vô tình. Mã nguồn không bao giờ nói dối, nhưng con người thì luôn tìm cách lách. Bạn đã audit chính mình chưa?